إذا كنت تدير شركة من 25 شخصًا، فربما قيل لك إنك بحاجة إلى المصادقة الثنائية. وعادةً ما تأتي هذه النصيحة بفاتورة: توظيف مستشار أمني، وشراء نظام SIEM، ونشر رموز عتادية (hardware tokens). لا شيء من ذلك مناسب عندما يكون "فريق تقنية المعلومات" لديك هو مدير المكتب الذي يتولى أيضًا كشوف الرواتب.
تغيّر أمران في السنوات الأخيرة جعلا المصادقة الثنائية إعدادًا من 30 دقيقة بدلًا من مشروع يمتد 30 يومًا:
- أصبح TOTP (كلمات المرور لمرة واحدة المبنية على الوقت) المعيار العالمي. كل تطبيق مصادقة حديث — Google Authenticator وMicrosoft Authenticator وAuthy و1Password — يتحدث البروتوكول نفسه (RFC 6238). لا يحتاج فريقك إلى تثبيت أي شيء مخصص.
- صار التسجيل الذاتي الحد الأدنى المتوقع. لا حاجة لمسؤول "يهيّئ" المصادقة الثنائية لأحد: يمسح الشخص رمز QR في تطبيق المصادقة، ويكتب رمزًا من 6 أرقام للتأكيد، وانتهى الأمر. وتغطي رموز الاسترداد (10 رموز تُستخدم لمرة واحدة) حالة فقدان الهاتف.
يستعرض هذا المقال خطوات النشر الفعلية لشركة صغيرة. وسنكون محددين بشأن ما يجب فعله هذا الأسبوع وما يمكن تأجيله إلى الربع القادم.
لماذا تهمّ المصادقة الثنائية للشركات الصغيرة والمتوسطة
البيانات لا لبس فيها. يفيد فريق استخبارات التهديدات في Microsoft بأن تفعيل المصادقة متعددة العوامل (MFA) يحجب 99.2% من محاولات الاستيلاء الآلي على الحسابات. أما الـ0.8% المتبقية فتتطلب هجمات موجَّهة متطورة — أدوات تصيّد بترحيل لحظي، وتبديل شريحة SIM، وغيرها. وبالنسبة لشركة من 25 شخصًا تواجه أساسًا روبوتات رش كلمات المرور وحشو بيانات الاعتماد المسرّبة، فإن المصادقة الثنائية هي أعلى ضوابط الأمان مردودًا يمكنك نشرها.
كما انقلبت معادلة التكلفة. فتطبيقات SaaS (المحاسبة والموارد البشرية وإدارة العملاء والرواتب) أصبحت كلها تدعم المصادقة الثنائية، واستخدامها مجاني. وتطبيقات المصادقة على الهاتف مجانية. والتكلفة الحقيقية الوحيدة هي 30 دقيقة لكل موظف للتسجيل.
النشر في 30 دقيقة (هذا الأسبوع)
لا تحتاج إلى خطة مشروع. تحتاج إلى:
-
قائمة بالتطبيقات الحيوية للعمل. ابدأ بـ: البريد (Google Workspace / Microsoft 365)، والمحاسبة، والموارد البشرية/الرواتب، ومشاركة الملفات، ومدير كلمات المرور (لديك واحد، أليس كذلك؟)، وقاعدة بيانات عملائك. عادةً ما تكون 5 إلى 8 أنظمة لشركة من 25 شخصًا.
-
مستند قصير من ثلاثة أقسام:
- لماذا نفعل ذلك (فقرة واحدة؛ نصّنا يقول: "إذا اختُرق بريدنا، يمكن للمهاجم إعادة تعيين كل كلمات المرور الأخرى وانتحال شخصية الشركة. تمنع المصادقة الثنائية ذلك.")
- ما الذي يلزم الموظفين فعله (تنزيل تطبيق مصادقة — اذكر الأربعة الرئيسية — واتباع إرشادات كل تطبيق عند تسجيل الدخول التالي)
- ماذا يحدث إن فقدت هاتفي (استخدم رموز الاسترداد؛ وإن نفدت، تواصل مع مدير المكتب الذي سيعيد ضبط المصادقة الثنائية لك)
-
اجتماع عام مدته 15 دقيقة لشرح الأمر. وأقوى مؤشر على نجاح النشر هو أن تكون الإدارة قد فعّلت المصادقة الثنائية بشكل ظاهر قبل الجميع.
بعد الاجتماع، امنح الجميع أسبوعين. ثم راجِع: أي الموظفين لم يفعّلوا المصادقة الثنائية بعد على التطبيقات الأساسية؟ امنح أسبوعين إضافيين مهلةً، ثم ابدأ بفرضها.
ما الذي تتوقعه عند فقدان الهاتف
رموز الاسترداد هي الحل. وهي 10 رموز تُستخدم لمرة واحدة وتظهر مرةً واحدة فقط أثناء إعداد المصادقة الثنائية. يطبعها المستخدم، أو يلتقط لها لقطة شاشة في مدير كلمات المرور، أو كليهما.
عندما يتعطل الهاتف أو يُفقد:
- يسجّل المستخدم الدخول ببريده وكلمة مروره.
- وبدلًا من كتابة رمز المصادقة، يُدخل أحد رموز الاسترداد.
- يحصل على وصول كامل. ويصبح رمز الاسترداد المستخدَم لاغيًا.
- يعيد تسجيل المصادقة الثنائية على الهاتف الجديد (يتيح له النظام ذلك بعد تسجيل الدخول).
نفدت رموز الاسترداد؟ هنا يحتاج مسؤول إلى تعطيل المصادقة الثنائية يدويًا على حساب المستخدم، فيسجّل الدخول بكلمة المرور فقط ويعيد التسجيل من جديد. خطّط للتعامل مع حالة واحدة تقريبًا كل ربع سنة لفريق من 25 شخصًا.
أمور يجب تجنّبها
- المصادقة الثنائية عبر الرسائل النصية (SMS). الرسائل النصية أفضل من لا شيء، لكن هجمات تبديل شريحة SIM جعلتها غير موثوقة. استخدم TOTP (تطبيق المصادقة) كلما أمكن. تدعم تطبيقات كثيرة الاثنين — اختر TOTP.
- مشاركة رموز المصادقة الثنائية. إذا تشارك ثلاثة أشخاص حساب مسؤول واحدًا في Google Workspace، يبرز إغراء مشاركة رمز المصادقة الثنائية. لا تفعل. أنشئ حسابات مسؤول منفصلة.
- فرض تطبيق مصادقة محدد. دع كلًّا يستخدم ما يشاء — Google وMicrosoft وAuthy و1Password كلها تعمل. فرض تطبيق واحد يولّد المقاومة.
- تعطيل المصادقة الثنائية على حسابات فردية على سبيل المجاملة. أكثر منافذ الاختراق شيوعًا لدى الشركات الصغيرة والمتوسطة هو المدير التنفيذي الذي "عُطّلت مؤقتًا" مصادقته الثنائية لأنه كان مسافرًا ولم تُعَد تفعيلها قط. لا تفعل ذلك.
متى يتجاوز عملك هذا النهج
عند نحو 50 إلى 100 موظف، ينهار نموذج "مدير المكتب بوصفه قسم تقنية المعلومات". ومن أعراضه:
- عدة طلبات مساعدة أسبوعيًا بشأن هواتف مفقودة
- تطبيق غير متسق بين الفرق
- يتحوّل إدخال الموظفين وإنهاء خدماتهم إلى قائمة مهام لا ينفّذها أحد
عندئذٍ تحتاج إما إلى شخص متفرّغ لتقنية المعلومات أو إلى أداة تتولى التسجيل والاسترداد والتدقيق مركزيًا — وتُسمى عادةً مزوّد هوية (IdP) مثل Okta أو Microsoft Entra أو JumpCloud. وتتراوح التكلفة عادةً بين 5 و10 دولارات لكل موظف شهريًا.
إذا كنت تستخدم SVDY، فإن عمل مزوّد الهوية مدمج أصلًا: التزويد المعتمد على SCIM، والدخول الموحّد عبر SAML، وإدارة المصادقة الثنائية مركزيًا — كلها تأتي مع المنصة ابتداءً من باقة Pro فما فوق. تحصل على طبقة الهوية المركزية دون أن تدفع مقابل نظامين.
الخلاصة
لشركة من 25 شخصًا في عام 2026: المصادقة الثنائية المبنية على TOTP هي نشرٌ في 30 دقيقة يحجب 99% من هجمات بيانات الاعتماد، ولا يكلّف شيئًا في البرمجيات، والاحتكاك الحقيقي الوحيد هو حالة فقدان الهاتف التي تعالجها رموز الاسترداد. لا عذر تقريبًا لعدم القيام بذلك.
اختر تاريخًا خلال الأسبوعين القادمين. وأرسِل دعوة الاجتماع العام اليوم.